Un identificatore della vittima è il dominio, il nome host, il nome dell'azienda o un'altra etichetta che un attaccante associa a un bersaglio rivendicato in un post pubblico di estorsione, in un sito di leak o in una nota interna di campagna. Nei casi di ransomware, è spesso il primo segnale visibile che indica che un gruppo afferma di avere accesso all'ambiente di una vittima. L'identificatore può essere esatto, abbreviato o fuorviante, quindi deve essere considerato una rivendicazione e non una prova di compromissione.
Nella sicurezza informatica, gli identificatori delle vittime sono importanti perché aiutano i difensori a collegare le accuse alle risorse reali, verificare se il dominio nominato è attivo e controllare log, backup e servizi esposti alla ricerca di segni di intrusione. Supportano anche il triage quando più organizzazioni hanno nomi o sottodomini simili. Durante un attacco, un identificatore della vittima può creare pressione prima che le prove siano verificate, quindi i team di sicurezza dovrebbero convalidare attentamente l'etichetta, confermare la proprietà interna e usarla come innesco per l'indagine e il contenimento, non come conferma che si sia verificata una perdita di dati o una violazione.